Iedere organisatie moet voldoen aan de verordening. De regels zijn namelijk ‑ net zoals onze huidige privacywet – van toepassing op elke verwerking van persoonsgegevens, ongeacht de omvang van de organisatie.
Bedrijven die gevestigd zijn buiten de EU, maar zaken of diensten aanbieden aan Europese burgers en daarbij hun gegevens verwerken, moeten zich aan de verordening houden. Datzelfde geldt voor organisaties die via cookies surfgedrag van Europeanen monitoren.
De verordening reguleert de on- en offline wereld. De nieuwe regels gelden net zo goed voor een papieren archief en een direct mail als voor display advertising.
De verordening geldt voor zowel B2B als B2C. Een B2B gegeven is namelijk al heel snel een persoonsgegeven, denk bijvoorbeeld aan een zakelijk e-mailadres, directe telefoonnummers, functietitels of zakelijke postadressen. En in dat geval gelden de nieuwe regels.
De verordening is van toepassing op geautomatiseerde verwerkingen (profilering), maar ook op deels geautomatiseerde verwerkingen of andere gestructureerde verzamelingen van persoonsgegevens.
De verordening scherpt bestaande standaarden aan, maar introduceert ook nieuwe verplichtingen. Organisaties moeten een protocol datalekken opstellen een Privacy Impact Assesment doen voor bepaalde processen en een documentatie bijhouden van welke gegevens zij verwerken, welke bewerkers zij daarbij inschalen en hoe data beveiligd is. Ook de consument heeft nieuwe rechten, waaronder het recht om zijn informatie te verhuizen (dataportabilliteit).
Toestemming moet het resultaat zijn van een actieve handeling en je moet voldoende informatie geven op basis waarvan iemand betekenisvolle toestemming kan geven. Marketeers zullen de wijze waarop toestemming wordt verkregen tegen het licht moeten houden. Belangrijke informatie over waarvoor iemand toestemming geeft mag niet worden weggestopt in algemene voorwaarden.
Goed om je te realiseren is dat de verordening het verwerken van persoonsgegevens techniek neutraal reguleert. Dat wil zeggen dat specifieke regels voor het gebruik van cookies of het versturen van e-mails niet in deze verordening worden geregeld.
De cookiebanner is het gevolg van een Europese Richtlijn (de E-Privacy Directive) die in nationale wetgeving (onze Cookieverordening) is geïmplementeerd. De Europese Commissie is nu gestart met een consulatie over de herziening van deze Richtlijn.
Als data één van de kernactiviteiten is van je bedrijf, is het aanstellen van een data protection officer verplicht, ongeacht de omvang van je organisatie.
De inwerkingtreding
De privacy verordening treedt in werking 20 dagen na de publicatie in het EU Publicatieblad. Vervolgens duurt het nog twee jaar voordat de regels rechtstreeks toepasselijk zijn in elke EU-lidstaat. Uiteraard zal DDMA haar leden helpen bij de overgang door middel van toelichting en advies.
Ook interessant
Commissies Data, Decisions & Engagement en Commissie Social Media krijgen versterking
Maarten Plokker (Sitespect): Bridging the gap between Client- and Server-side Testing
